amazon-web-services - 要使用 KMS 加密的 Secrets Manager 密钥的 SCP

Question

任何人都可以帮助我了解是否有 Guardrails SCP，您可以在组织级别为 Secrets Manager 使用 KMS 加密的 Secrets

Answer 1

默认情况下，AWS Secrets Manager 使用默认 KMS 密钥加密您的所有密钥。因此，我猜您想阻止创建秘密，除非您的用户指定特定的 KMS CMK。

以下是您可以使用的 SCP 示例：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "DenySecretsCreationWrongKey",
        "Effect": "Deny",
        "Action": "secretsmanager:CreateSecret",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "secretsmanager:KmsKeyId": [CMK_ARN]
             }
          }
       }
   ]
}